【最新版】PAY IDは安全？危険？運営会社・カード情報・不正利用時の対応を公式情報で整理｜招待コードSXTV5Aで500円分

最終更新：2026年9月25日

BASEで作られたネットショップで支払おうとすると、「PAY ID」への登録やログインを求められることがあります。カードを登録するサービスだけに、運営会社はどこか、カード番号がショップに見えないか、不正利用されたらどうなるのかと不安になるのは自然です。

この記事では、以下の点を、BASE株式会社の公式サイト・利用規約・ヘルプの記載だけをもとに整理します。

• PAY IDの運営会社
• カード情報の扱い
• 本人認証
• 公式の注意喚起
• 不正利用時の対応
• 退会のしやすさ

メニュー名や数値は執筆時点の公式ヘルプ（多くが2026年9月更新）の表記で、変わる可能性があります。

結論：公式情報の範囲では「危険」と言える材料はない。ただし守るべき設定がある

PAY IDは、東京証券取引所グロース市場に上場するBASE株式会社が提供する無料のショッピングサービスです。カード番号はショップに渡らないと公式FAQが説明し、ログインには多要素認証やパスキーがあります。公式情報を見る限り、登録すること自体が危険と言える材料は見当たりません。

一方で2025年12月には、メール乗っ取りを起点にした不正アクセスが一部のアカウントで報告されたとして、ログイン方法を電話番号へ切り替えるよう公式が強く推奨しています。ユーザー側で対策できる部分が大きいのはこの点です。

運営会社はBASE株式会社：東証グロース上場、累計ID登録者数は2,000万超

この章の要点

• 利用規約の「当社」はBASE株式会社と定義され、payid.jpのフッターも「© BASE, Inc.」表記
• PAY株式会社は2018年1月に事業を分社化した100%子会社だが、現行の提供主体はBASE株式会社
• 累計ID登録者数は2026年8月16日に2,000万を突破、ISO/IEC 27001は2026年8月28日付で取得

利用規約でサービスを提供する「当社」はBASE株式会社と定義され、payid.jpのフッターも「© BASE, Inc.」です。ヘルプもBASEのヘルプセンター（help.thebase.in）にあります。

項目	内容（公式サイトの会社概要・IR情報より）
会社名	BASE株式会社（BASE, Inc.）
所在地	東京都港区六本木三丁目2番1号 住友不動産六本木グランドタワー37F
資本金	88億4,754万円（2025年12月末日現在）
上場	東京証券取引所グロース（証券コード4477）。2019年10月25日に東証マザーズへ上場
主な子会社	PAY株式会社、want.jp株式会社、株式会社Eストアー、Port株式会社

PAY株式会社は2018年1月に「PAY.JP」「PAY ID」事業を分社化した100%子会社ですが、現行の規約とプレスリリースはBASE株式会社を提供主体と明記しています。累計ID登録者数は2026年8月16日に2,000万を突破しました。

セキュリティ体制では、BASE株式会社・PAY株式会社・want.jp株式会社が2026年8月28日付でISO/IEC 27001（ISMS）認証を取得していますが、適用範囲に「PAY ID」の名称は明示されていません。

カード情報の扱い：ショップにカード番号は渡らないと公式が説明

この章の要点

• 公式FAQはPCI DSS Version 3.2.1準拠のシステムで取引し、カード番号はトークンで暗号化と説明
• 支払い先のECサイトにカード番号は一切渡らないとFAQに記載、認定範囲や審査機関の記載はなし
• 利用規約にカード番号を提携事業者が保持する同意条項あり、提携事業者の社名は非記載

payid.jpの公式FAQは、PAY IDはクレジットカードブランドが定める「PCI DSS Version 3.2.1」に準拠したシステム上で取引が行われ、登録されたカード番号はトークンで暗号化され、支払い先のECサイトにはカード番号が一切渡らないと説明しています。

ただしこれはFAQの表記であり、現在どのバージョンで審査を受けているか、認定範囲や審査機関は公式に記載がなく、ショップの管理画面に下4桁などが表示されるかも明記されていません。

保管先については、利用規約に、登録したカード番号の情報を「提携事業者」（クレジットカード会社や決済代行業者など、BASE株式会社と提携する決済機能の事業者）が保持することに予め同意する条項があります。提携事業者の具体的な社名は、利用規約やヘルプには記載されていません。

確認画面へ進む時や新規登録時に「11円」など数円〜数十円の有効性確認の決済処理が行われる場合があり、即時返金されますが明細への反映に数日〜数週間かかることがあります。

カードブランド	利用明細の表示例（公式ヘルプより）
VISA・Mastercard	「BASE＊」＋利用した加盟店の屋号
JCB・Diners Club	「ベイス」
AMEX	「BASE 東京都 港区」
オーソリ（仮売上）時	「BASE」「ベイス」など。ブランドにより「ソニペイ」等の場合あり

本人認証の仕組み：SMS＋パスワードの多要素認証とパスキー

この章の要点

• ログインは多要素認証で、SMSコードは6桁・有効期限15分、登録は国内発行の11桁携帯番号のみ
• メール送信による2段階認証は廃止済み、多要素認証の設定済みアカウントはパスキーも登録可能
• Webでmy.payid.jpにログイン後24時間はアプリの認証が省略される場合あり、共有端末は要注意

PAY IDのログインは多要素認証（MFA）で、環境や登録状況によりパスワード認証とSMS認証が求められる場合があります。SMS認証コードは6桁・有効期限15分で、登録できるのは日本国内で発行された11桁の携帯電話番号です。以前のメール送信による2段階認証は廃止され、新規設定はできません。

多要素認証（SMS＋パスワード）を設定済みのアカウントでは「パスキー」も登録できます。登録後もパスワードでのログインは可能で、削除には多要素認証またはパスキーによる本人認証が必要です。

決済時の本人認証はカード会社によって異なるとショップ向けヘルプにあるのみで、3Dセキュアの対応状況は公式の案内を確認してください。また、Webブラウザでmy.payid.jpにログインしてから24時間以内は、アプリでのログイン時にパスワード認証などが省略されることがあります。共有端末のブラウザにログインしたままにしないよう注意が必要です。

「PAY IDは危険」と言われる背景：注意喚起と子会社Eストアーの別サービスでの漏えい事案を整理

この章の要点

• 2025年12月、メール乗っ取りを起点にyahoo.co.jp・gmail.com利用者で不正アクセスの報告を公表
• 2026年3月はPAY IDを装うフィッシングメールへの注意喚起、公式案内は@payid.jpドメインから
• 子会社Eストアーの「ショップサーブ」漏えいは最大延べ8,853,839件、PAY ID側の漏えいは未公表

不安の材料になっているのは、公式自身が出した注意喚起です。事実関係を分けて整理します。

2025年12月：メール乗っ取りを起点にした不正アクセスの注意喚起

2025年12月26日、PAY ID公式ブログは、第三者によるメールアカウントの乗っ取りを起点に、一部のアカウント（特にyahoo.co.jp・gmail.comの利用者）で不正アクセス・不正決済の報告があったと公表し、ログイン方法を「パスワード」から「電話番号」へ切り替えるよう強く推奨しました。

PAY IDのシステム自体が侵害されたとは公表されておらず、被害の規模や件数も公表されていません。

2026年3月：PAY IDを装ったフィッシングメール

2026年3月31日には、「お使いの ID は、セキュリティの問題により使用が停止されています。」などの件名のフィッシングメールについて注意喚起が出ました。公式の案内は「@payid.jp」ドメインから送られるとされていますが、BASEのショップからの通知は別ドメインの場合もあるため、リンク先も確認してください。

2026年8月：子会社Eストアーの「ショップサーブ」での情報漏えい

2026年8月1日、BASE株式会社の子会社・株式会社Eストアーが運営する「ショップサーブ」への不正アクセスによる購入者情報の漏えいが公表されました。対象は最大延べ8,853,839件で、翌8月2日の第2報でカード名義・カード番号の一部（先頭6桁と下4桁）・有効期限も対象と判明しました。

セキュリティコードは保持しておらず対象外とされています。

これはPAY IDやBASEショップのシステムで起きたものではなく、PAY IDの購入者情報が漏えいしたとは公表されていません。

不正利用されたときの対応手順と補償の考え方

この章の要点

• まず登録カードの発行会社へ連絡して利用停止、その後BASEのお問い合わせフォームへ連絡する順番
• 問い合わせ時にカード番号やパスワードなどの機密情報を入力しないよう公式が明確に注意
• BASE側の補償制度の記載はなく、規約第6条でID管理はユーザー責任、第13条に免責と消費者契約の例外

身に覚えのない決済や不正ログインに気づいた場合、公式ヘルプの案内は次の順番です。

1. 直ちに登録カードの発行会社に連絡し、カードの利用を停止する
2. その後、BASEのお問い合わせフォームから連絡する

問い合わせ時にカード番号やパスワードなどの機密情報を入力しないよう、公式が明確に注意しています。偽サイトに入力してしまった場合も、カード発行会社への連絡と、同じパスワードを使う他サイトのパスワード変更が案内されています。

被害額の補償については、PAY ID公式にBASE側の補償制度や条件の記載がありません。カード会社側の補償は、一般に各社の規約や状況（届出の時期、本人認証の有無など）で異なるとされているため、「補償される」「されない」のどちらも断定できません。ご利用のカード会社の規約でご確認のうえ、早めにカード会社へ連絡してください。

利用規約では第6条でパスワードやIDの管理はユーザーの責任とされ、「管理不十分、使用上の過誤、第三者の使用等による損害の責任はユーザーが負う」と定められています。

第13条には故意または重過失がない限り免責とする旨がある一方、利用契約が消費者契約法に定める消費者契約に該当する場合は、規約に定める当社賠償責任の免責に係る各条項は適用されない旨も明記されています。

条文の効果は個別の事情で変わるため、トラブル時は消費生活センターや弁護士などの専門家にご相談ください。

安全に使うための設定チェックリスト

1. ログイン方法を「電話番号」に切り替える：電話番号ログインは、SMSで届く使い捨ての認証コードだけでログインする方式で、2022年8月に提供が始まりました。公式が強く推奨する対策で、my.payid.jp/phone_number/register から設定できます。
2. パスキーを登録する：アプリは「マイページ」→「アカウント設定」→「パスキーの管理」→「パスキーを作成する」、Webは「マイページ」→「各種設定」→「パスキーの管理」から。
3. ログイン通知を有効にする：Webページから設定でき、登録メールアドレスへ通知が届きます。
4. メール側の保護を強化する：公式は起点をメールアカウントの乗っ取りと説明しているため、メールのパスワード変更や2段階認証の設定も併せて見直しておくと安心です。
5. 使わないカードは削除する：アプリはマイページ→「アカウント設定」→「クレジットカード情報」の「編集」→「カードを削除する」、Webは「カード情報」→「削除」→「削除する」。

設定・操作（公式の対応表より）	アプリ	Web（my.payid.jp）
ログイン情報・お届け先・クレジットカード情報の変更	○	○
本人確認情報	○	×
ログイン通知の設定	×	○
退会	対応表では×（退会ヘルプにはアプリ手順の記載あり）	○

購入時には注文情報や利用環境をもとにセキュリティチェックが行われ、同一カード番号でエラーが複数回続くとBASE側で24時間ロックがかかるなど、不正決済防止の仕組みも動いています。

退会のしやすさ：手順と退会前の注意点

この章の要点

• Webはログイン後、右上の二本線→ユーザー情報→退会リンク→注意事項に同意→「退会する」の順
• 退会したアカウントは復活不可、購入履歴は非表示、定期便は停止、各種ポイントは破棄
• 一時停止機能はなく再開は新規作成、退会後の個人情報やカード情報の保持期間は公式に明記なし

利用規約第12条でユーザーは所定の方法で登録を取り消せると定められています。Webブラウザからの手順は次のとおりです。

1. my.payid.jp/login にログインする
2. 右上の二本線（=）をタップする
3. 「ユーザー情報」をタップする
4. 「退会を希望される方はこちら」の「こちら」をタップする
5. 注意事項を確認のうえ「同意する」にチェックを入れる
6. 「退会する」をタップする

アプリからの手順（マイページ→「退会を希望される方はこちら」→「同意する」→「退会する」）もヘルプにあります。

• 退会したアカウントは復活できず
• 購入履歴は見られなくなり
• 定期便は停止
• 長期予約注文は条件によりキャンセル
• PAY IDポイントとメンバーシップポイントは破棄されます

一時停止機能はなく、再開時は新規作成です。ログインできない場合は、お問い合わせフォームから本人が依頼すればBASEが代理で退会処理を行います。

退会後の個人情報やカード情報の保持期間は公式に明記がありません。

これから登録する人へ：500円分もらう方法

まだPAY IDに登録していない方は、登録時に招待コード「SXTV5A」を入力すると500円分のPAY IDポイントがもらえます（※条件・上限あり）。

SXTV5A

▶ PAY IDアプリをダウンロードする

入力場所は マイページ > 招待コードを入力。買い物をする前に入力するのがポイントです（購入履歴がつくと対象外になります）。

よくある質問

PAY IDに登録しないとBASEのショップで買えませんか？

登録せずに購入する「ゲスト購入」も可能です。ただし「あと払い（PAY ID）」の選択、お支払い情報の保存、ショップ会員登録を選ぶ場合は新規登録が必要で、携帯電話番号の認証が求められます。

「PAY ID あと払い」は誰でも使えますか？

購入時に電話番号認証（PAY IDアカウント登録）が必要で、後払い決済提供元のGMOペイメントサービス株式会社の与信審査があります。誰でも使えるわけではなく、ショップの設定にも左右されます。

複数アカウントを作って使い分けたほうが安全ですか？

利用規約でユーザーは複数のアカウントを持てないと定められています。安全性は電話番号ログインへの切替やパスキーの登録で高めてください。

退会するとカード情報も削除されますか？

退会後の個人情報やカード情報の保持期間は公式に明記がありません。気になる場合は、退会前にカード情報を削除しておく方法があります。

まとめ

PAY IDは東証グロース上場のBASE株式会社が提供する無料のサービスで、カード番号はショップに渡らないと公式が説明し、ログインには多要素認証とパスキーが用意されています。

仕組み自体を「危険」と評価する材料は公式情報を見る限りなく、2025年12月に公式が注意喚起した不正アクセスは、メールアカウントの乗っ取りが起点とされています。

• ログイン方法を電話番号に切り替える
• パスキーとログイン通知を設定する
• 使わないカードは削除する
• 不安なメールのリンクは踏まない

公式ヘルプと注意喚起の内容をもとに、まず見直したいのはこの4点です。

これから登録する方は、招待コード「SXTV5A」を買い物前に入力すると500円分のPAY IDポイントがもらえます（※条件・上限あり）。仕様や条件は変わる可能性があるため、最新の内容は公式ヘルプ（help.thebase.in）でご確認ください。